Re-imagining ISO 26262 in the Age of Autonomous Vehicles: Enhancing Controllability through Transferability and Predictability

近年来，自动驾驶技术取得了突破性进展，尤其在感知、决策和控制算法方面。ISO 26262作为国际主流的道路车辆功能安全标准，强调通过风险评估和故障分析保障系统安全。早期研究主要关注硬件故障和软件失效的检测与隔离，如ASIL等级划分和故障树分析（FTA）。然而，随着无人驾驶系统逐渐走向成熟，单纯的故障检测已不足以应对复杂场景中的行为不确定性。ISO 21448（SOTIF）引入了对性能不足和行为可预期性的关注，强调行为的透明度和外部观察者的理解能力。近年来，学界开始探索行为可预期性（Predictability）和系统控制转移（Transferability）等新指标，试图弥补传统标准的不足。这些努力旨在建立一个更全面的安全保障体系，既考虑系统故障，也关注行为合理性与外部交互的安全性。本文在此基础上，结合人机交互、仿真验证和场景测试，提出了系统级的Transferability与Predictability指标，为自动驾驶安全评估提供了新的思路。

当前ISO 26262在自动驾驶场景中的应用面临诸多挑战。首先，标准以人为中心，假设驾驶员可以在必要时采取行动，但在SAE Level 4和5中，驾驶员已不参与控制，导致Controllability的定义不再适用。其次，系统在复杂环境下的行为变化难以量化，传统的故障检测方法无法全面覆盖所有潜在风险。再次，外部道路使用者对车辆行为的预判能力直接影响道路安全，但缺乏量化工具支持行为的可预期性评估。最后，现有标准缺乏对系统在故障情况下的安全转移能力（Transferability）和外部行为可理解性的系统性考量，限制了自动驾驶系统的安全验证深度和广度。这些问题的解决，关系到自动驾驶技术的广泛应用和公众信任的建立，亟需引入新的指标体系和验证方法。

本文的核心创新在于提出Transferability与Predictability两个指标体系，作为ISO 26262 Controllability的扩展。第一，Transferability引入故障场景下的最小风险操作（MRM）性能指标，量化系统在故障时的控制转移能力，结合故障场景、场景状态和场景类别，建立了可验证的证据模型。第二，Predictability借鉴人机交互中的轨迹预测和意图识别技术，定义多通道评估指标，结合自然驾驶数据，建立了行为预判模型。这两个指标体系不仅补充了传统的故障检测，还考虑了外部观察者的行为理解，提升了系统的整体安全性和交互合理性。第三，提出设计与实际场景Fallback能力的差异分析方法，确保安全断点的合理性和可控性。这些创新突破了现有标准的局限，为自动驾驶系统的安全验证提供了科学、量化的工具。

• �� 以ISO 26262和ISO 21448为基础，定义Transferability为在故障场景中系统能否在故障容错时间内安全转移到备用机制的能力，使用MRM性能指标量化成功率、响应时间和终点位置。
• �� 采用故障注入、硬件在环（HIL）仿真和实车测试，验证不同场景下的Fallback性能，建立可追溯的证据链。
• �� 利用自然驾驶数据集（如SAE J2944）建立行为参考模型，通过轨迹偏差、意图识别、信号一致性和运动突变等多通道指标，评估外部观察者对车辆行为的预判能力。
• �� 设计多层次的Predictability监控体系，包括轨迹偏差Qconf、意图清晰度Sintent、信号一致性Ssignal和运动突变Skin，结合场景信息，形成完整的行为预判评估框架。
• �� 通过场景划分和ODD（Operational Design Domain）切片，确保指标在不同环境和场景中的适应性和可比性。
• �� 引入设计与实际场景Fallback能力的差异∆T，量化架构设计与验证场景中的偏差，确保安全断点的合理性。
• �� 结合故障场景下的MRM性能指标和行为预判指标，建立系统的安全验证流程，支持ISO 26262和ISO/PAS 21448的扩展应用。

实验采用Reynolds & Moore的仿真平台和实车测试相结合，验证Transferability和Predictability指标的有效性。利用故障注入模拟多种故障场景，测量系统在不同故障类别（如传感器失效、控制器故障）下的最小风险操作成功率，平均达到92%，明显优于传统反应指标（70%以上）。在自然驾驶数据集（如SAE J2944）中，利用轨迹偏差和意图识别模型，提升行为预判的准确率至88%，偏差降低15%，验证模型在复杂场景中的适应性。通过不同环境（如夜间、雨天、复杂交叉口）测试，确保指标的鲁棒性和一致性。还进行场景划分实验，验证ODD切片对指标的影响，确保指标在不同场景中的可比性。最后，结合设计与实际场景的Fallback能力差异∆T分析，验证模型在多样环境中的适应能力和安全性。

实验结果显示，基于MRM的Transferability指标在故障场景中的成功率平均达92%，比传统指标提升了22%，验证了系统在故障情况下的安全控制能力。Predictability模型在多场景中实现了轨迹偏差降低至0.3米（原为0.45米），意图识别准确率提升至88%，显著增强了外部观察者对车辆行为的预判能力。这些指标的结合，使得自动驾驶系统在复杂环境下的安全性和交互合理性得到大幅提升。通过对比不同ODD切片，验证了指标的场景适应性和可扩展性。整体结果表明，该框架能有效识别潜在风险，减少误判，提升系统的可靠性和公众信任。

• �� 在自动驾驶系统的安全验证中，作为故障转移和行为预判的核心指标，帮助制造商和监管机构进行系统级安全评估。• 在场景测试和仿真验证中，结合场景划分和ODD切片，提升验证效率和准确性。• 在未来的自动驾驶法规和标准制定中，为Transferability和Predictability提供量化依据，推动行业标准升级。• 实时监控系统中，作为行为预判和故障响应的指标，支持动态安全管理和风险预警。

• �� 当前模型主要依赖于自然驾驶数据和仿真场景，可能在极端或未见场景中表现不足。• 对于复杂环境中的信号干扰和传感器噪声，指标的鲁棒性仍需验证。• 计算成本较高，实时应用存在一定挑战，需优化算法效率。• 未来需结合深度学习和强化学习，提升模型的泛化能力和适应性，解决场景多样性带来的挑战。